deepstream Server 10.1.0: ontbrekende autorisatiecontrole maakt ongeautoriseerde schrijfacties mogelijk (CVE-2026-63116)

Wat is er gebeurd

In deepstream server 10.1.0 ontbreekt in het bestand src/services/permission/valve/rules-map.ts de recordactie PATCH_MULTI in de interne RULES_MAP die door het Valve-permissiesysteem wordt gebruikt. Wanneer een geauthenticeerde client een PATCH_MULTI-operatie verstuurt terwijl de server is geconfigureerd met permission.type op 'config', geeft de functie getRulesForMessage voor die actie een lege (null) regelspecificatie terug. De logica in ConfigPermission.canPerformAction behandelt deze ontbrekende specificatie vervolgens als een onvoorwaardelijke toestemming, in plaats van de bedoelde RULE_TYPES.WRITE-controle toe te passen.

Technische oorzaak

De oorzaak is een ontbrekende autorisatie-vermelding (CWE-862: Missing Authorization) in de permissieregelmapping die schrijftoegang voor de PATCH_MULTI-recordactie moet controleren. Omdat voor dit actietype geen regelspecificatie wordt teruggegeven, valt de permissiecontrole stilzwijgend terug op een toestemmingsbeslissing in plaats van de geconfigureerde schrijfregels af te dwingen.

Waarom dit belangrijk is

Elke geauthenticeerde gebruiker kan dit gat misbruiken om willekeurige beschermde records te wijzigen die normaal gesproken worden beperkt door de schrijfregels van het permissietype 'config'. Dit kan leiden tot corruptie van de applicatiestatus of verstoring van de dienstbeschikbaarheid, aangezien de integriteit en consistentie van via deepstream beheerde records niet langer gegarandeerd kan worden volgens de geconfigureerde toegangsregels van de server.

Wie wordt getroffen

Omgevingen met @deepstream/server versie 10.1.0 waarbij permission.type is ingesteld op 'config' zijn getroffen. Omgevingen die het standaard permissietype 'none' gebruiken, staan sowieso al alle operaties toe en ondervinden door dit specifieke probleem geen extra impact, aangezien zij niet afhankelijk zijn van de getroffen schrijfbeperkingslogica.

Getroffen versies

@deepstream/server versie 10.1.0 is getroffen. Het probleem is verholpen in versie 10.1.1.

Oplossingen en mitigatie

De leverancier heeft @deepstream/server versie 10.1.1 uitgebracht, waarin de ontbrekende autorisatiecontrole is verholpen door de PATCH_MULTI-actie correct op te nemen in de permissieregelmapping. In het beschikbare feitenpakket worden geen alternatieve mitigatiemaatregelen vermeld.

Aanbevolen actie

Organisaties die @deepstream/server draaien met permission.type op 'config' wordt aangeraden zo snel mogelijk te upgraden van versie 10.1.0 naar versie 10.1.1. Beheerders doen er daarnaast goed aan auditlogs te controleren op onverwachte PATCH_MULTI-operaties op beschermde records tijdens de periode dat de kwetsbare versie in gebruik was.